Active-Directory on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Lateral Movement in Active Directory: Tecniche, Tool e OPSEC

Wed, 15 Jul 2026 00:00:00 +0000

Lateral Movement in Active Directory: Tecniche, Protocolli e Detection #

Il lateral movement è la fase di post-exploitation in cui si usa una credenziale compromessa — hash NTLM, ticket Kerberos, o password in chiaro — per autenticarsi su altri host del dominio ed eseguire comandi. Ogni tecnica usa protocolli diversi, lascia artefatti diversi, e richiede prerequisiti diversi.

Ottenere un foothold su un host è solo l’inizio. In un ambiente Active Directory enterprise, il valore reale sta negli host successivi — il file server, il DC, la workstation dell’amministratore. Il lateral movement è il processo con cui si usa ciò che si ha (hash, ticket, password) per raggiungere ciò che si vuole.

Voleur HTB: Writeup con Kerberoasting, DPAPI e WSL Privesc

Fri, 10 Jul 2026 00:00:00 +0000

HTB Voleur Walkthrough: Guida Completa Kerberoasting, DPAPI e Privilege Escalation via WSL #

Introduzione #

Voleur è una macchina Active Directory di HackTheBox in scenario “assume breach”: si parte già con delle credenziali valide, esattamente come capita in un pentest interno reale dove il cliente fornisce un account a basso privilegio. La catena di attacco tocca praticamente ogni tecnica DPAPI esistente: targeted Kerberoasting, AD Recycle Bin abuse, decrittazione di credenziali salvate via masterkey, fino a un accesso WSL che espone gli hive di registro e permette il dump completo di NTDS.dit.

Golden Ticket Attack: Cos'è, Come Funziona e Come Difendersi in Active Directory

Wed, 08 Jul 2026 00:00:00 +0000

Golden Ticket Attack: Persistenza Totale in Active Directory #

In sintesi: Il Golden Ticket sfrutta l’hash di krbtgt per forgiare TGT validi in Active Directory, permettendo di impersonare qualsiasi utente del dominio — incluso il Domain Admin — senza conoscerne la password. Una volta ottenuto l’hash, la persistenza può durare anni. L’unica remediation è il doppio reset di krbtgt.

Glossario rapido #

Prima di addentrarci, chiariamo i termini chiave di Kerberos. Per un approfondimento completo sul protocollo, vedi Kerberos — come funziona l’autenticazione in AD.

Silver Ticket Attack: Cos'è, Come Funziona e Come Difendersi in AD

Wed, 08 Jul 2026 00:00:00 +0000

Silver Ticket Attack: Accesso Stealth ai Servizi in Active Directory #

TL;DR: Il Silver Ticket forgia un TGS Kerberos usando l’hash dell’account di servizio target — senza mai contattare il KDC. È più limitato del Golden Ticket (un servizio, un host) ma è anche più stealth: non genera eventi sul DC. Se hai l’hash del computer account del DC, puoi forgiare un Silver Ticket per LDAP ed eseguire un DCSync senza essere Domain Admin.

Diamond Ticket Attack: L'Evoluzione Stealth del Golden Ticket

Tue, 07 Jul 2026 00:00:00 +0000

Diamond Ticket Attack: L’Evoluzione Stealth del Golden Ticket #

Il Diamond Ticket è la versione stealth del Golden Ticket: invece di creare un ticket falso da zero, parte da un ticket vero, lo modifica per ottenere privilegi da amministratore, e lo re-inietta. Nei log sembra tutto normale — l’unica soluzione è il doppio reset di krbtgt.

Glossario rapido #

Per il protocollo Kerberos completo vedi Kerberos — autenticazione in Active Directory.

Logon Type Windows: Guida Per Pentester ,Red Teamer e SOC Analyst

Fri, 03 Jul 2026 00:00:00 +0000

Logon Type Windows (Guida Completa per Principianti) #

Ogni volta che qualcuno o qualcosa si autentica su un computer Windows — un utente che digita la password, un servizio che parte, una connessione a una cartella condivisa — Windows registra come è avvenuto quell’accesso. Questo “come” si chiama logon type, ed è un numero che descrive il contesto della sessione, non i privilegi finali dell’utente. I permessi reali dipendono dal token di accesso generato in quel momento, che a sua volta dipende da più fattori (account, gruppi, policy, UAC, contesto del login). Capirlo è fondamentale sia per chi fa sicurezza offensiva sia per chi analizza i log per individuare un attacco.

EKU OID in ADCS: Guida Completa per il Penetration Testing su Active Directory

Thu, 02 Jul 2026 00:00:00 +0000

EKU OID ADCS: Identificazione e Abuso nei Certificate Template #

Se hai mai letto l’output di certify.exe find o certipy find, avrai visto numeri come 1.3.6.1.5.5.7.3.2 accanto a voci come “Client Authentication”. Quei numeri si chiamano OID (Object Identifier) e definiscono a cosa serve un certificato X.509. In fase offensiva su Active Directory, capire quali OID rendono un certificate template sfruttabile è la differenza tra trovare un vettore di privilege escalation e passarci davanti senza vederlo.

Tool Penetration Testing: Guida Completa per Fase di Attacco"

Wed, 10 Jun 2026 00:00:00 +0000

Questa guida raccoglie tutti i tool offensivi usati nel penetration testing, organizzati per fase di attacco — non in ordine alfabetico. Dalla recon OSINT all’exploitation, dal lateral movement AD al pivoting su reti segmentate. Ogni tool ha il suo contesto, il suo momento, il suo caso d’uso reale. Ogni fase di un penetration test ha i suoi strumenti. Nmap non serve a nulla se non sai leggere l’output. Mimikatz non funziona senza i privilegi giusti. BloodHound è inutile se non hai prima enumerato il dominio. La scelta del tool sbagliato nel momento sbagliato è la causa principale di engagement falliti e lab non completati.

HTB Sekhmet Walkthrough: Node.js Deserialization, WAF Bypass e DPAPI

Thu, 04 Jun 2026 00:00:00 +0000

Difficoltà: Insane | OS: Windows (con VM Linux embedded) | Release: Settembre 2022

Sekhmet è una delle macchine più articolate che HTB abbia mai pubblicato nella categoria Insane. Non è difficile perché richiede exploit oscuri o zero-day — è difficile perché ogni fase richiede di capire davvero cosa stai facendo. L’attacco inizia su un’app Express.js con una vulnerabilità di insecure deserialization in node-serialize, protetta da ModSecurity. Per bypassare il WAF devi capire come questo interpreta le richieste rispetto a come le interpreta il server Node. Poi atterri su una VM Linux joinata ad Active Directory, con un backup cifrato con ZipCrypto da rompere, hash AD da estrarre dal database locale di sssd, e un’escalation via Kerberos con ksu. Nella seconda fase: lateral movement sul DC Windows con command injection su un attributo LDAP, cattura di un hash Net-NTLMv2, password spray, DPAPI su Edge e accesso come Domain Admin.

SeBackupPrivilege: dump hash e dominio completo con SAM, SYSTEM e NTDS.dit

Tue, 26 May 2026 00:00:00 +0000

Hai le credenziali di un account nel gruppo Backup Operators — niente shell sul DC, niente exploit. Con SeBackupPrivilege e reg save estrai SAM, SYSTEM e SECURITY in 30 secondi. Con un account nel gruppo Backup Operators di dominio, secretsdump ti consegna tutti gli hash AD direttamente via rete.

Quick Exploit #

cmd

reg save HKLM\SAM C:\temp\sam.hive
reg save HKLM\SYSTEM C:\temp\system.hive
reg save HKLM\SECURITY C:\temp\security.hive

Su macchina attaccante:

NTLM Information Disclosure: Enumera Dominio, Hostname e OS Senza Credenziali

Mon, 27 Apr 2026 00:00:00 +0000

NTLM authentication esposta su HTTP? Con una singola richiesta GET ricavi dominio AD, NetBIOS name, hostname e versione OS — senza username, senza password. Tecnica fondamentale per recon red team su Exchange, IIS e qualsiasi servizio Windows con autenticazione integrata.

Pubblicato il 2026-04-23
Categoria: Windows / Web Hacking

Cos’è NTLM Information Disclosure #

Quando un servizio Windows usa NTLM authentication via header HTTP, espone involontariamente informazioni interne durante il processo di handshake — ancora prima che tu inserisca qualsiasi credenziale.

Porta 50000 SAP NetWeaver: da SAP* Default a RCE su ERP Enterprise

Tue, 21 Apr 2026 00:00:00 +0000

SAP è il software ERP (Enterprise Resource Planning) più usato dalle grandi aziende: gestisce finanza, risorse umane, supply chain, vendite, produzione — il cuore operativo dell’impresa. La porta 50000 TCP è la SAP Management Console (SAP MC), l’interfaccia HTTP per la gestione delle istanze SAP NetWeaver. Ma l’ecosistema SAP espone decine di porte: 3200-3299 (SAP GUI), 3300-3399 (SAP Gateway), 8000-8099 (ICM HTTP), 44300 (ICM HTTPS), 50013 (Management Console HTTPS) e la famigerata 3299 (SAP Router). Nel penetration testing, SAP è il jackpot enterprise: compromettere SAP significa accesso a tutti i dati finanziari, HR, supply chain, vendite dell’azienda. Un singolo sistema SAP contiene più dati sensibili di tutti gli altri server messi insieme.

Kerberos Attacchi Active Directory: Kerberoasting, AS-REP, Golden Ticket

Sun, 01 Mar 2026 00:00:00 +0000

Porta 88 — Kerberos: Il Cuore dell’Autenticazione Active Directory #

Se Active Directory è il sistema nervoso di ogni rete aziendale Windows, Kerberos è il suo cuore pulsante. È il protocollo di autenticazione che gestisce ogni login, ogni accesso a una share di rete, ogni connessione a un servizio. Ascolta sulla porta 88 TCP/UDP del Domain Controller e, per un pentester, è un tesoro: permette di enumerare utenti validi senza credenziali, estrarre hash craccabili di service account (Kerberoasting) e utenti senza pre-autenticazione (AS-REP Roasting), forgiare ticket che danno accesso illimitato al dominio (Golden Ticket) e persistere indefinitamente nell’ambiente.

Evil-WinRM: Accesso Remoto e Post-Exploitation su Windows via WinRM

Thu, 12 Feb 2026 00:00:00 +0000

Evil-WinRM è un tool Ruby sviluppato da Hackplayers che implementa una shell PowerShell interattiva su Windows Remote Management (WinRM) protocol con funzionalità offensive avanzate. A differenza del client WinRM standard, Evil-WinRM include AMSI bypass integrato, execution in-memory di .NET assemblies, file transfer bidirezionale e supporto pass-the-hash per lateral movement stealth.

WinRM (Windows Remote Management) è il protocollo Microsoft per amministrazione remota via HTTP/HTTPS, abilitato per default su Windows Server 2012+ e configurabile su workstation. Durante engagement Active Directory, Evil-WinRM offre shell interattiva completa con meno artifacts forensic rispetto a PsExec, posizionandosi nella fase Lateral Movement (MITRE ATT&CK T1021.006) con capabilities estese per post-exploitation.

KeeThief: dump di master key e credenziali da KeePass

Sat, 07 Feb 2026 00:00:00 +0000

KeeThief estrae il composite key material direttamente dalla RAM del processo KeePass.exe, permettendo il dump delle credenziali senza conoscere la master password.

Tecnica mappata a MITRE ATT&CK T1555.005 – Password Managers.

Qui trovi il funzionamento reale del tool, il workflow operativo completo, tecniche avanzate (incluso backdoor via trigger KeePass) e cosa viene realmente rilevato in fase di detection.

Come Funziona KeeThief (Meccanica Reale) #

KeePass protegge il database .kdbx con una composite key: combinazione di master password, key file opzionale e/o Windows User Account (DPAPI). Quando l’utente sblocca il database, KeePass deriva la chiave crittografica e la mantiene in memoria finché il database resta aperto.

BloodHound Pentest AD: Privilege Escalation e Domain Admin

Fri, 23 Jan 2026 00:00:00 +0000

In sintesi: BloodHound è uno strumento open source per l’analisi degli attack path in Active Directory basato su teoria dei grafi. Si usa per identificare percorsi di privilege escalation verso Domain Admin in ambienti Windows enterprise. Richiede credenziali di un utente di dominio standard e permette di visualizzare graficamente relazioni ACL, sessioni e deleghe Kerberos.

BloodHound prende un dominio Active Directory con migliaia di utenti, gruppi, computer e GPO e lo trasforma in una mappa di relazioni che risponde a una sola domanda: qual è il percorso più breve verso Domain Admin?

Ldapsearch: enumerazione utenti e directory in attacco

Fri, 23 Jan 2026 00:00:00 +0000

Ldapsearch: enumerazione utenti e directory in attacco #

Se ldapsearch ti sputa “No such object” o non trovi il Base DN, qui lo sistemi in 10 minuti con comandi ripetibili in lab.

Intro #

ldapsearch è un client CLI che interroga un server LDAP e stampa i risultati in LDIF: perfetto per fare enumeration “chirurgica” su directory (OpenLDAP o Active Directory) quando vuoi controllo totale su bind, filtri e attributi.